- 공격자가 Verus 이더리움 브리지에서 약 754 만 달러를 탈취했으며, 이는 5 월에 발생한 1,158 만 달러 규모의 해킹 사건과 동일한 취약점을 악용한 것입니다.
- 이 악용은 검증 체크 누락으로 인해 브리지가 Verus 체인에서 담보로 확보된 자산보다 더 많은 자산을 이더리움에서 인출할 수 있게 한 데서 비롯되었습니다.
- 재발한 공격은 DeFi 전반의 보안 개선에도 불구하고 해결되지 않은 취약점이 여전히 크로스체인 브리지에 있어 주요 위험 요인임을 보여줍니다.
공격자가 목요일 Verus 이더리움 브릿지에서 약 $7.54백만을 훔치는 데 성공했습니다. 이는 약 2개월 만에 이 브릿지를 사용하여 성공적으로 익스플로잇이 수행된 두 번째 사례입니다. 올해 초 발견된 취약점이 완전히 수정되지 않은 것으로 보입니다. 이는 일부 알려진 취약점이 여전히 크로스체인 시스템을 위협하고 있음을 보여줍니다.
크로스체인 브릿지는 사용자가 하나의 블록체인에 자산을 잠그고 다른 블록체인에서 동일한 토큰을 발행할 수 있게 합니다. 그러나 대부분의 브릿지는 매우 큰 공유 유동성 풀을 포함하고 있습니다. 따라서 검증자의 작은 실수라도 수백만 달러의 손실을 초래할 수 있습니다. 블록체인 사이버 보안 회사 Blockaid에 따르면, 2022년 이후 가장 큰 암호화폐 브릿지 해킹 중 일부에 영향을 미친 동일한 유형의 버그가 Verus 공격에서도 발생한 것으로 보입니다.
동일한 계약에 대한 재타격
Blockaid에 따르면, 공격자는 브릿지의 import 메커니즘을 악용하여 Verus 블록체인에 실제 값에 해당하지 않는 이더리움 관련 지급을 활성화했습니다. 해커는 ETH, tBTC, USDC, USDT, EURC, MKR, scrvUSD를 포함한 자산을 훔쳤으며, 총 손실액은 약 $7.54백만에 달했습니다.
공격은 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63에 있는 Verus 이더리움 브릿지 프로토콜 계약을 대상으로 이루어졌으며, 자금은 해커의 지갑 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54로 추적되었습니다.
블록체인 증거는 Etherscan에서 쉽게 접근할 수 있습니다. 여기에는 브릿지 계약, 공격자의 지갑 및 익스플로잇 거래가 포함됩니다.
이 사건은 2026년 5월 발생한 Verus 브릿지 해킹($11.58백만 유출)과 매우 유사하여 특히 주목할 만합니다. Blockaid는 두 공격 모두 동일한 계약을 동일한 import 경로를 통해 표적으로 삼았다고 밝혔으며, 이는 취약점이 아직 수정되지 않았음을 의미합니다.
왜 버그가 몇 센트 만에 수백만 달러를 지급하는가
보안 회사 Halborn과 Merkle Science도 이전 공격을 분석한 결과 동일한 결론에 도달했습니다.
“이 취약점은 암호학적 실패가 아니라, Verus 체인에 커밋된 값이 이더리움에서 해제되는 값과 일치함을 보장하는 검증 누락이었습니다.” — Rob Behnke, Halborn
Halborn에 따르면, 약 1센트 정도의 거래라도 이더리움 스마트 계약이 트리거되어 수백만 달러 상당의 자산을 해제하기 전에 브릿지의 모든 서명 및 Merkle 증명 요구사항을 통과할 수 있었습니다.
Merkle Science에 따르면, 문제의 원인은 브릿지 코드의 checkCCEValues 함수로 확인되었습니다.
“브릿지는 소스 값이 목적지 지급과 일치하는지 검증하지 못해, 공격자가 최소한의 수수료만 지출하면서 수백만 달러를 인출할 수 있게 했습니다.” — Mir Jalal, Merkle Science
회사는 약 10줄의 누락된 Solidity 검증으로 인해 공격자가 약 $10 상당의 VRSC 거래 수수료를 $11.58백만 상당의 지급으로 전환할 수 있었다고 믿었습니다.
두 회사는 브릿지의 암호화와 검증 증명 기능이 정상적으로 작동하고 있음을 명확히 했습니다. 그러나 실제 문제는 계약이 이더리움에서 해제되는 값이 Verus 체인의 자산에 의해 지원되는지 확인하지 않았다는 점입니다. Merkle Science는 2022년 Wormhole 및 Nomad 브릿지 익스플로잇도 동일한 유형의 검증 실패로 인해 발생했다고 지적했습니다.
브릿지가 더 안전하다고 생각했던 시장에 대한 의미
Verus 사건은 암호화폐 커뮤니티의 다른 경로에서 브릿지 공격으로 인한 손실이 줄어드는 시기에 발생합니다.
TRM Labs가 수집한 데이터에 따르면, 암호화폐 보안 공격은 총 207건으로, 이는 어떤 6개월 기간에서도 가장 높은 수치입니다. 반면, 같은 기간인 2025년 총 손실액은 $23억에서 $9.72억으로 감소했으며, 현재 기간의 중간 해킹 금액은 약 $219,000로 줄었습니다.
브릿지의 보안도 지난 몇 년간 강화되었습니다. Immunefi의 보고서에 따르면, 2022년 브릿지 해킹과 관련된 DeFi 손실 비율은 73%였으나, 2025년에는 3%로 떨어졌습니다. 이는 시장의 감사 품질과 브릿지 설계가 크게 개선되었음을 나타냅니다.
그럼에도 불구하고 Verus의 침해는 섹터 전반의 진전이 기존 미해결 취약점을 상쇄하지 못함을 보여줍니다. 5월 익스플로잇 이후 처음 드러난 문제가 다시 악용되면서, 알려진 취약점을 처리하는 것이 더 이상 위험에 처해 있지다고 가정하는 것보다 훨씬 중요하다는 서사가 강화되었습니다.
Verus는 목요일 사건의 공식 사후 분석을 게시하지 않았습니다. 5월 사건 이후 Merkle Science는 결함이 있는 검증이 해결되고 별도 감사자로부터 승인을 받을 때까지 브릿지 사용을 자제하도록 사용자에게 지시했습니다. 프로젝트가 작업 완료를 확인할 때까지 사용자는 주의를 기울이고 브릿지 전송을 피해야 합니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
Verus 브리지 공격에서 얼마나 탈취되었나요?
Blockaid 는 손실을 약 754 만 달러로 추정하며, 이는 목요일 브리지 예치금에서 ETH, tBTC, USDC, USDT, EURC, MKR 및 scrvUSD 로 탈취된 것이라고 밝혔습니다.
이번 사건이 이전 Verus 해킹과 동일한 것인가요?
Blockaid 는 이번 사건이 2026 년 5 월 Verus 브리지 사고와 관련이 있는 것으로 보이며, 동일한 계약, 진입 경로 및 버그 유형을 인용하지만, 이는 다른 공격자에 의해 수행된 새로운 거래로 자금이 다른 지갑으로 이동했다고 설명했습니다.
근본적인 결함의 원인은 무엇인가요?
Halborn 과 Merkle Science 에 따르면, 브리지는 서명과 증명을 올바르게 검증했으나 Verus 측에서コミ트된 값이 이더리움에서 청구된 지급액과 일치하는지 확인하지 않았습니다. Merkle Science 는 이 검증 누락이 checkCCEValues 함수에서 발견되었다고 밝혔습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
아시쉬 쿠마르
아시쉬 쿠마르는 8년의 뉴스룸 경험을 갖춘 암호화폐 및 금융 전문 기자입니다. 그는 암호화폐 시장, 규제, DeFi, 거래소 생태계 동향을 보도합니다. Coingape, Todayq, Newsroompost에서 활동했으며, IIMC에서 영어 저널리즘 석사 과정 (PGDP) 을 수료했습니다. 또한 아서 헤이즈, 야트 시우, 오스틴 페데라 등 업계 주요 인사들을 인터뷰한 바 있습니다.
